Política de Privacidade

Em vigor desde 10 de novembro de 2026

Esta política explica quais dados pessoais o ToDash trata, para quê, com quem compartilha, por quanto tempo guarda e quais são os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD). Ela vale para quem tem conta no ToDash e para quem aparece nas notas fiscais que os clientes enviam.

O ToDash é para empresas e pessoas maiores de 18 anos e não coleta de propósito dados de crianças e adolescentes.

1. Quem é responsável

O ToDash é oferecido por CONSPECTUS TECNOLOGIA INOVA SIMPLES (I.S.), CNPJ 69.844.742/0001-08, com sede na Rua Agenor Nogueira, 668, Ap 12, Vila São Lúcio, Botucatu/SP, CEP 18603-198. O contato para assuntos de dados pessoais está no item 11. Há dois papéis diferentes:

• Dados da sua conta (e-mail, senha, plano, cobrança, uso): o ToDash é o controlador e decide como tratá-los (LGPD, art. 5º, VI).
• Dados que estão dentro dos XMLs que você envia (por exemplo, nome e CPF de um destinatário): você é o controlador, e o ToDash é o operador (art. 5º, VII), que só trata esses dados seguindo a sua instrução, que é montar os seus painéis (art. 39). Cabe a você ter base legal para enviar essas notas e responder aos titulares delas.

2. Quais dados tratamos

Guardamos o registro de acesso porque o Marco Civil da Internet (Lei 12.965/2014, art. 15) exige que o provedor de aplicação organizado como empresa guarde a data, a hora e o IP de cada uso — e nós já cumprimos essa regra —, e porque ele permite apurar uso indevido da sua conta. Esse registro não inclui o que você abriu, nem dados do seu navegador, e fica sob sigilo: não aparece em nenhuma tela do ToDash, nem para o administrador, e só é entregue a terceiros por ordem judicial (Marco Civil, arts. 10 e 22). É guardado por 6 meses (item 7). O provedor de hospedagem também pode registrar o IP nos registros técnicos dele. Nossos arquivos de log de erro são filtrados para não conter e-mail, documento, chave de nota nem senha. Não recebemos os dados do seu cartão: eles são digitados direto na página do Asaas. Não pedimos telefone. O CPF ou CNPJ só é pedido na compra do relatório avulso, porque a cobrança e a nota fiscal precisam dele.

3. Para que usamos e com qual base legal

• Prestar o serviço — criar a conta, processar os XMLs, mostrar os painéis, cobrar a assinatura e mandar e-mails de confirmação de cadastro e troca de senha. Base: execução de contrato (LGPD, art. 7º, V).
• Cumprir obrigações legais — guardar registros de cobrança exigidos pela legislação fiscal, guardar o registro de acesso exigido pelo Marco Civil da Internet (art. 15) e atender ordens de autoridade. Base: obrigação legal (art. 7º, II).
• Proteger o serviço — limitar tentativas de login, cadastro e troca de senha, registrar o que o administrador acessa, conter abuso na contagem de visitas e investigar uso indevido. Base: legítimo interesse (art. 7º, IX). Você pode se opor a esse tratamento pelo contato do item 11 (art. 18, § 2º).
• Entender de onde vêm os clientes — saber quais anúncios, campanhas e sites trazem contas novas, e quantas visitas a página inicial recebe, para decidir onde divulgar o ToDash. Base: legítimo interesse (art. 7º, IX). Você pode se opor pelo contato do item 11, e pode deixar a pergunta "Como conheceu o ToDash?" em branco.
• Dados dentro dos XMLs — tratados só para montar os seus painéis, conforme a sua instrução. Não usamos esses dados para nenhuma outra finalidade, nem para treinar modelos, nem para estatísticas fora da sua conta.

Não vendemos dados. Não usamos seus dados para publicidade. Não tomamos decisões automatizadas sobre você.

4. Com quem compartilhamos

Dois desses fornecedores tratam dados fora do Brasil, nos Estados Unidos: a Resend, que recebe só o seu endereço de e-mail e o texto da mensagem (o link e o prazo dele, sem nenhum dado das suas notas, empresas ou clientes), para enviar os e-mails da sua conta; e o Google, que recebe o IP e dados técnicos do seu navegador quando ele baixa as fontes das telas. Essas transferências existem porque são necessárias para prestar o serviço que você contratou com o ToDash (LGPD, art. 33, IX, com o art. 7º, V). Os seus XMLs não saem do Brasil. Você pode pedir mais informações sobre essas transferências, ou exercer os seus direitos sobre elas, pelo e-mail de dados pessoais indicado nesta política. Não usamos ferramenta de análise de audiência de terceiros nem pixel de publicidade: as visitas da página inicial são contadas pelo próprio ToDash (item 5). Também podemos compartilhar dados quando uma autoridade exigir, na forma da lei.

Desses fornecedores, só a hospedagem guarda o conteúdo dos XMLs. Para esses dados, ela trabalha para o ToDash como suboperadora, com a autorização que o cliente dá ao aceitar os Termos de Uso (item 16). Se um fornecedor novo passar a tratar dados, esta lista muda antes, e os clientes são avisados por e-mail.

5. Cookies e o que fica no seu navegador

Usamos somente cookies necessários para o ToDash funcionar:

• todash_sessao — mantém você conectado. Dura 12 horas a partir do login, sem renovação automática. Não pode ser lido por scripts da página nem enviado por conexão sem criptografia.
• Preferência de tema (claro ou escuro) — fica guardada só no seu navegador, e nunca é enviada ao servidor.

Esses dois são indispensáveis ao serviço, por isso não pedimos consentimento para eles.

Além deles, e sem ser um cookie necessário, o ToDash faz duas coisas por legítimo interesse em saber de onde vêm os cadastros e as visitas, para decidir onde divulgar (LGPD, art. 7º, IX). Você pode se opor pelo contato do item 11.

• Origem da visita — quando você chega por um link de campanha, por um anúncio ou por outro site, o ToDash guarda no seu navegador (no armazenamento local da página, não em cookie): o site que trouxe você (só o domínio), o nome da campanha, se veio de um clique de anúncio do Google ou da Meta (não o código do clique), a página por onde entrou e a data, do primeiro e do último desses contatos. Isso vale por até 30 dias: depois, não é mais usado nem enviado. Só sai do seu navegador se você criar uma conta: vai junto com o cadastro (item 2). Sem criar conta, nada disso chega até nós. Para apagar, limpe os dados deste site no seu navegador (nas configurações, em "cookies e dados do site").
• Contagem de visitas — a página inicial avisa o servidor de cada visita, uma vez por aba, para somarmos quantas houve por dia, hora, página, origem e tipo de aparelho. Não usa cookie, não grava o seu IP e não identifica quem visitou: guardamos só os totais. Para conter abuso, o servidor guarda por até 48 horas um código calculado a partir do IP com uma chave secreta (não o IP), só para limitar quantas visitas um mesmo endereço consegue somar.

Não usamos cookies de publicidade nem de análise de audiência de terceiros.

6. Quem, dentro do ToDash, vê seus dados

O administrador do ToDash vê nome e e-mail da conta, plano, uso, histórico da assinatura, as empresas cadastradas (com CNPJ ou CPF), os lotes enviados e o motivo de recusa de cada um, o motivo de cancelamento e de onde a conta veio (item 2), para dar suporte, cuidar da cobrança e entender quais canais trazem clientes. Ele pode anotar observações de suporte sobre a conta e conceder XMLs a mais (no teste grátis ou no mês), sempre com motivo e registro de quem fez. Ele não altera seus dados fiscais nem entra na sua conta como se fosse você. Cada acesso dele fica registrado (quem, quando e o que abriu), e esse registro é guardado por 12 meses.

7. Por quanto tempo guardamos

• Conta, empresas e XMLs — enquanto você tiver plano pago. Se o plano acabar, por cancelamento, desistência ou falta de pagamento, guardamos por mais 3 meses, contados do fim do período pago, para você voltar sem reenviar nada; depois disso, são apagados. Quem só usou a degustação, sem nunca assinar, tem os dados guardados enquanto a conta existir, e apagados quando pedir (item 9).
• XMLs e relatórios do relatório avulso — 7 dias, contados do pagamento; depois são apagados, mesmo que a conta continue (LGPD, art. 16). Se o Pix não for pago em 24 horas, os XMLs enviados são apagados depois desse prazo. Baixe e guarde os seus arquivos: a guarda das notas fiscais é obrigação da sua empresa.
• Prévia do relatório avulso (a contagem grátis, antes de criar conta) — os XMLs são lidos só para contar as notas e mostrar a prévia. Sem compra, nada deles fica guardado.
• Registro da compra do relatório avulso (quem comprou, quando, valor, número do pagamento e da nota fiscal) — pelo prazo exigido pela legislação fiscal, porque é documento fiscal da empresa. Ele continua guardado depois que os XMLs e os relatórios são apagados, e não contém o conteúdo das notas.
• Registros de processamento — 90 dias.
• Registros de sessão — apagados 1 dia depois de expirarem.
• Tentativas de login, cadastro e troca de senha, e o código de contenção da contagem de visitas e da prévia do relatório avulso — 48 horas.
• De onde a conta veio (origem do cadastro e "como conheceu") — enquanto a conta existir; sai junto quando os dados da conta são apagados.
• Anotações de suporte — enquanto a conta existir; saem junto quando os dados da conta são apagados.
• Contagem de uso do painel (quantas vezes cada aba e cada exportação foram usadas, por dia, sem identificar a conta) — só totais; sem prazo de apagamento.
• Contagem de visitas — só totais, sem nenhum dado que identifique alguém; por isso não tem prazo de apagamento.
• Códigos de confirmação de e-mail e troca de senha — 14 dias.
• Registros de acesso do administrador — 12 meses.
• Registro de acesso (data, hora, IP e porta) — 6 meses, como pede o Marco Civil (art. 15); depois, é apagado. Só fica mais tempo se uma autoridade pedir formalmente que ele seja preservado (art. 15, § 2º), e só a parte pedida.
• Registros de cobrança e avisos do Asaas — pelo prazo exigido pela legislação fiscal, contado a partir de cada pagamento.

8. Segurança

A conexão com o ToDash é criptografada. A senha é guardada de forma irreversível. O cookie de sessão não pode ser lido por scripts da página. As contas são isoladas umas das outras. O login tem limite de tentativas. O acesso do administrador é separado e registrado (LGPD, art. 46).

Nenhum sistema é totalmente imune a falhas. Se houver um incidente de segurança que possa causar risco ou dano relevante a você, avisamos você, pelo e-mail da conta, e a ANPD, no prazo da Resolução CD/ANPD nº 15/2024: 3 dias úteis a partir de quando soubermos que dados pessoais foram afetados, contados em dobro para agentes de tratamento de pequeno porte (LGPD, art. 48). O aviso diz que dados foram afetados, o risco para você, o que fizemos e o que você pode fazer.

Se o incidente atingir dados que estão nos XMLs de um cliente, quem decide e faz a comunicação à ANPD e aos titulares é o cliente, que é o controlador desses dados (item 1). Nesse caso, avisamos o cliente pelo e-mail da conta, sem demora, com as informações de que ele precisa, e ajudamos no que for necessário (Termos de Uso, item 16).

9. Seus direitos

Você pode pedir, a qualquer momento e sem custo (LGPD, art. 18):

• confirmação de que tratamos seus dados, e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• portabilidade dos dados a outro fornecedor;
• informação sobre com quem compartilhamos;
• oposição a tratamento baseado em legítimo interesse;
• eliminação da conta e dos dados, respeitada a guarda exigida por lei (item 7).

O pedido é feito pelo contato do item 11. Respondemos em até 15 dias (art. 19, II). Se não pudermos atender de imediato, dizemos o motivo (art. 18, § 4º). Hoje, o encerramento da conta e a exportação completa dos dados (com os XMLs que você enviou) são feitos por nós, a pedido; dentro do ToDash você já baixa os painéis em planilha (Excel). Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD, gov.br/anpd) e aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º).

10. Se o seu dado aparece numa nota de outra pessoa

Se você é destinatário ou emitente numa nota enviada por um cliente do ToDash, quem decide sobre esse dado é esse cliente (item 1). Se você nos escrever, informamos que somos operador, encaminhamos o seu pedido ao cliente responsável e ajudamos no que for necessário (LGPD, art. 18, § 4º, I).

11. Contato e encarregado

Canal para assuntos de dados pessoais: admtodash@gmail.com.

O ToDash é agente de tratamento de pequeno porte e, conforme a Resolução CD/ANPD nº 2/2022, art. 11, não indica encarregado; o canal acima atende titulares e a ANPD.

12. Mudanças nesta política

Se esta política mudar, avisamos por e-mail antes de a mudança valer, e a data no topo da página muda. Se entrar um fornecedor novo ou passarmos a coletar um dado novo, esta página é atualizada antes.